Antwoord schriftelijke vragen : Antwoord op vragen van de leden Idsinga, Palmen-Schlangen en Omtzigt over een advies van de landsadvocaat

Antwoord van Staatssecretaris Van Rij (Financiën – Fiscaliteit en Belastingdienst)
en Staatssecretaris De Vries (Financiën – Toeslagen en Douane) (ontvangen 13 maart
2024). Zie ook Aanhangsel Handelingen, vergaderjaar 2023–2024, nr. 1100.

Vraag 1

Herinnert u zich dat u in de ministerraad gesproken heeft over een advies van de landsadvocaat?1

Antwoord 1

De ministerraad is op 26 januari jl. op hoofdlijnen geïnformeerd over het lopende
adviestraject met de landsadvocaat en het feit dat een Kamerbrief hieromtrent in voorbereiding
was. Daarbij is aangegeven dat de Kamerbrief zou worden geagendeerd voor de Ambtelijke
Commissie Uitvoeringsorganisaties (ACU) van 5 februari 2024 en de Ministeriële Commissie
Uitvoeringsorganisaties (MCU) van 6 februari 2024.

Vraag 2

Kunt u dit advies conform de lijn van de regering in reactie op het Parlementair Onderzoek
Kinderopvangtoeslag openbaar maken en voor vrijdag 23 februari aan de Kamer doen toekomen,
aangezien het relevant kan zijn voor de parlementaire enquête die op maandag 26 februari
verschijnt?

Antwoord 2

Het advies van de landsadvocaat is bijgevoegd. Bij brief van 23 februari jl. hebben
wij u reeds laten weten dat het advies nog niet was afgerond aangezien de landsadvocaat
nog bezig was met de beantwoording van verduidelijkende vragen die zijn gesteld naar
aanleiding van een bespreking met de landsadvocaat d.d. 31 januari jl. en na agendering
in de Ministeriële Commissie Uitvoering (MCU) d.d. 6 februari jl.

Vraag 3

Kunt u aangeven op welke punten de brief hierover die op 13 februari aan de Kamer
gestuurd is en later is ingetrokken is aangepast in de veel kortere versie die op
19 februari aan de Kamer is gestuurd? Kunt u de punten een voor een toelichten?

Antwoord 3

Het hoofdzakelijke punt van verschil is dat de eerder toegestuurde versie een paragraaf
bevat over de analyse van de grondslag voor internetonderzoek door Dienst Toeslagen,
waarin het loggingsysteem «Heidi» aan de orde komt. Deze passage was uit de eerdere
versie verwijderd omdat de analyse rondom internetonderzoek nog niet was afgerond.
Daarbij was uw Kamer in de Stand van Zakenbrief2 al geïnformeerd over Heidi.

Vraag 4, 5 en 6

Kunt u aangeven hoe «Heidi», in versie 1 en versie 2 eruitzag, welke data verzameld
werden en waarvoor de data gebruikt werden?

Wanneer was duidelijk dat Heidi niet voldeed aan de Algemene Verordening Gegevensbescherming
(AVG) en welke actie is toen ondernomen?

Kunt u aangeven welke koppeling er was tussen Heidi-1 en de Fraude Signalering Voorziening
(FSV) en wat daarvan de gevolgen waren?3

Antwoord 4, 5 en 6

Zoals in de Stand van Zakenbrief Dienst Toeslagen van 15 januari jl. aan uw Kamer
is gemeld geldt voor Toeslagen dat Heidi werd gebruikt als een loggingsysteem waarbij
portaldata werd gelogd van bezoekers van de toeslagenportal. Het doel van Heidi was
het kunnen traceren of er sprake was van opvallend gedrag wat een indicatie kan zijn
voor een verhoogd risico op misbruik van toeslagen. Op deze manier kon worden achterhaald
of rekeningnummers massaal worden gewijzigd vanaf één het hetzelfde IP-adres, dat
veel aanvragen worden ingediend vanaf één en hetzelfde IP adres (in korte tijd) en
in voorkomende gevallen kon ook DigiD misbruik (identiteitsfraude) worden gesignaleerd.
Dit is data die wordt gewonnen bij het inloggen in het burgerportaal. Het tweede doel
had betrekking op het uitvoeren van effectmetingen om de effecten van handhaving-
en dienstverleningsacties te meten.

Zoals staat beschreven in de gegevensbeschermingseffectbeoordeling (GEB) die met de
Stand van Zakenbrief is meegestuurd, is het gebruik van Heidi in september 2017 binnen
Toeslagen «on hold» gezet omdat het systeem in de loop van de tijd niet meer zou voldoen
aan de eisen van de Wet bescherming persoonsgegevens. In november 2017 besloot het
Management Team Toeslagen dat het systeem Heidi weer opgestart zou worden in een beperktere
vorm. Deze beperkte versie zag op het afbouwen van de dataset in Heidi. Deze afgeslankte
versie staat binnen Toeslagen bekend als Heidi II.

Sinds het stopzetten van het Intensief Toezicht (ITO) proces in 2020 wordt geen gebruik
meer gemaakt van portaldata voor wat betreft het detecteren van risico’s op misbruik.
Tot december 2023 werd portaldata nog wel gebruikt voor de effectmetingen. Zoals gemeld
in de Stand van Zakenbrief Dienst Toeslagen van 15 januari jl. is in december 2023
ook dit gebruik van Heidi tijdelijk stopgezet, omdat de gegevensverwerking in de brede
context niet voldoende in beeld was. Geconstateerd is in elk geval dat niet alle gegevens
die werden verwerkt noodzakelijk waren voor de effectmetingen van Dienst Toeslagen.
Dit is wel een vereiste van de AVG om gegevens te mogen verwerken. Op dit moment wordt
geïnventariseerd welke gegevens uit de portaldata precies geleverd en verwerkt worden,
welke noodzakelijk zijn voor het doen van effectmetingen en of de benodigde privacy-waarborgen
hierbij wel voldoende zijn geïmplementeerd.

Ook bij de Belastingdienst, waar de Dienst Toeslagen destijds onderdeel van uitmaakte,
wordt gekeken naar het gebruik van Heidi. Het is binnen deze termijn echter onhaalbaar
gebleken te onderzoeken op welke manier de dienstonderdelen van de Belastingdienst
gebruik hebben gemaakt van Heidi. Uw Kamer wordt uiterlijk over 3 weken geïnformeerd
over hoe andere onderdelen van de Belastingdienst gebruik hebben gemaakt van Heidi,
voor welke doeleinde en welke gegevens hierbij verwerkt werden. Daarbij zal ook worden
aangegeven of er redenen zijn om het beeld van het gebruik van Heidi binnen Toeslagen
bij te stellen.

Vraag 7

Kunt u deze vragen een voor een en binnen drie weken beantwoorden en kunt het u het
advies van de landsadvocaat – dat echt geen concept is – per ommegaande aan de Kamer
doen toekomen?

Antwoord 7

De vragen zijn hiermee binnen drie weken beantwoord. Het advies van de landsadvocaat
is bij deze beantwoording gevoegd.